CRACI vs Safeguard

Stručná odpověď

Safeguard prodává platformu pro bezpečnost softwarového dodavatelského řetězce. Jeho web uvádí, že nachází zranitelnosti, včetně těch, které ještě nemají CVE, filtruje je analýzou dosažitelnosti a nechává své modely Griffin AI napsat patch, spustit vaše CI a provést merge pull requestu podle vaší politiky. Generuje SBOM ve formátech CycloneDX a SPDX, zaznamenává provenance SLSA, mapuje důkazy na rámce compliance a běží v cloudu, on-premise nebo air-gapped. Buildy nespouští: jeho CLI běží v CI, které už máte.

CRACI soupeří o stejný rozpočet na dodavatelský řetězec z jiné pozice. Je runnerem pro GitHub Actions: zaznamenává balíčky, které každý job skutečně stáhl, uplatňuje egress policy za běhu jobu a dál monitoruje to, co bylo dodáno. Safeguard pokrývá víc oblastí kolem kódu; CRACI jde hlouběji do buildu a toho, co z něj vzešlo.

Přehled

Sloupec Safeguard odráží to, co uvádí jeho vlastní web a dokumentace, ověřeno 29. září 2026. „Neuvedeno“ znamená, že jsme to tam nedokázali ověřit.

V čem je Safeguard dobrý

• Opravy, ne jen nálezy. Safeguard uvádí, že Griffin AI prokáže dosažitelnost, připraví kompatibilní upgrade, spustí vaše CI a regresní testy v izolované větvi a provede merge podle vašich kontrolních bran politik. Každý placený plán zahrnuje měsíční příděl pull requestů s opravami.
• Dosažitelnost na prvním místě. Nálezy se filtrují na zranitelný kód, ke kterému se vaše aplikace skutečně dostane, což udržuje frontu krátkou.
• Nad rámec závislostí. Jeho CLI hlásí také tajné klíče a chybné konfigurace jako SARIF, který se zobrazí na kartě code scanning v GitHubu, a platforma popisuje skenování zdrojového kódu, IaC a kontejnerů.
• Zabezpečené komponenty. Veřejný adresář a registr Gold se zabezpečenými image a balíčky, aby týmy mohly začít s komponentami bez známých CVE.
• Rizika dodavatelů. Third Party Risk Manager hodnotí dodavatele a ověřuje SBOM, které dodávají, a Portal zveřejňuje vaše SBOM zákazníkům.
• Šíře CI, možnosti nasazení a bezplatný plán. Jeho dokumentace pokrývá GitHub Actions, GitLab CI/CD, Jenkins a Azure DevOps. V úrovni Sovereign nabízí nasazení on-premise a air-gapped, zveřejňuje ceny pro samoobsluhu a má bezplatný plán bez platební karty.

V čem je CRACI jiné

Zaznamenáno z buildu, ne naskenováno dodatečně

Dokumentace Safeguard uvádí, že jeho CLI spouští Syft a Grype a že SBOM sestavuje z připojených repozitářů, image kontejnerů a nahraných manifestů, jako jsou package.json a requirements.txt. To je standardní způsob, jak sestavit SBOM: přečíst soubory a odvodit, co vstoupilo dovnitř. CRACI místo toho vidí provoz, který do každého buildu přichází. Proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, napříč npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroji Git, plus předvolby pro stahování, a balíčky obnovené z cache CI v záznamu zůstávají.

Tak CRACI zaznamenává skryté závislosti, které nástroje založené na lockfilech přehlédnou: kód stažený install hooky npm, buildovací skripty v Rustu, které stahují během buildu, a vrstvy základního image při buildu kontejneru. Každá SBOM nese stav úplnosti pro každý job a každou cache (Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded), takže když má záznam mezeru, říká to.

Kontrola za běhu buildu

Skener hlásí, co najde, až dodatečně. Protože CRACI je runner, rozhoduje za běhu jobu, ke kterým hostitelům se smí připojit. Egress policy mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřují se před spuštěním jobu a při selhání vše zablokují (fail-closed). S politikou výchozího zákazu se kompromitovaný balíček, který se pokusí odeslat vaše tajné klíče na neznámého hostitele, zablokuje, i u útoku, jaký nikdo dosud neviděl, a CRACI vás na porušení upozorní.

Provenance a monitorování z jednoho záznamu

Safeguard uvádí, že generuje, ukládá a ověřuje provenance SLSA. Provenance v CRACI pochází z runneru, na kterém job běžel: API vrací SBOM, síťové záznamy a provenance. CRACI provenance nepodepisuje a nehlásí se k žádné úrovni SLSA. SBOM toho, co jste dodali, průběžně znovu vyhodnocuje, jakmile jsou zveřejněny nové zranitelnosti, a ukazuje každý dřívější build, který obsahoval zranitelnou závislost, takže víte, jak dlouho jste byli vystaveni.

Runner je součástí produktu

Protože CRACI je runner, důkazy přicházejí spolu s výpočetním výkonem: běhy se dál zobrazují v GitHubu a CRACI spouští buildy přibližně dvakrát rychleji než runnery hostované na GitHubu díky rychlejšímu hardwaru, kratším frontám a cache. CRACI účtuje jen minuty buildu, $0.002 za vCPU-minutu ($0.004 za výchozí runner s 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Viz ceník CRACI.

Co se kam hodí

Safeguard se hodí lépe, když

• Chcete, aby za vás někdo napsal, otestoval a mergnul pull requesty s opravami.
• Chcete analýzu dosažitelnosti a nálezy tajných klíčů a chybných konfigurací na jedné platformě.
• Sestavujete na GitLabu, Jenkinsu nebo Azure DevOps.
• Potřebujete už dnes nasazení on-premise nebo air-gapped.
• Chcete k SBOM také registr zabezpečených komponent nebo hodnocení rizik dodavatelů.

CRACI se hodí lépe, když

• Sestavujete na GitHub Actions a chcete runner, egress policy a záznam závislostí na jednom místě.
• Potřebujete SBOM toho, co každý build skutečně stáhl, se stavem úplnosti, který můžete ukázat auditorovi.
• Chcete monitorování toho, co bylo dodáno, a historii buildů ze stejného záznamu.

Nahrazení Safeguard pomocí CRACI

U softwaru, který sestavujete na GitHub Actions, přebírá CRACI práci se SBOM a monitorováním: zaznamenává SBOM během buildu s uvedenou úplností, průběžně znovu vyhodnocuje monitorované SBOM, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést jejich triáž a předat každý z nich týmu, který opravu vlastní. Kontrolní brány politik mohou build kvůli nálezům zablokovat, včetně konkrétní CVE.

Ujasněte si, čeho se vzdáváte. CRACI neotevírá pull requesty s opravami, nemá analýzu dosažitelnosti, neskenuje tajné klíče ani chybné konfigurace, nenabízí registr zabezpečených komponent, nemá podepsanou provenance ani úroveň SLSA, nedetekuje nové škodlivé balíčky podle chování (známá škodlivá vydání označí, jakmile je zveřejněno upozornění s CVE) a dnes nemá možnost on-premise ani air-gapped. Spouští pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pokud jsou pro vás automatizovaná náprava nebo tyto možnosti nasazení důležitější než záznam o tom, z čeho bylo každé vydání sestaveno, Safeguard se hodí lépe.

Co si ověřit před koupí jakéhokoli nástroje SBOM

Tyto otázky platí pro každého dodavatele v této kategorii, včetně CRACI.

• Jak SBOM vzniká? Zeptejte se, který nástroj ji generuje a z čeho: z lockfilů a manifestů, ze skenu hotového image, nebo ze záznamu buildu. Pak ji spusťte na jednom ze svých buildů a porovnejte seznamy komponent, včetně tranzitivních závislostí.
• Ověřte certifikace u vydavatele. Certifikát nebo autorizaci lze potvrdit u subjektu, který je vydal, a „designed for“ nebo „aligned with“ určitým rámcem neznamená totéž jako jeho držení. Bezpečnostní stránka Safeguard popisuje jeho architekturu jako navrženou pro FedRAMP High a IL5 a jeho audit SOC 2 Type II jako probíhající; v souladu s touto formulací nebyl Safeguard při naší kontrole 29. září 2026 uveden na FedRAMP Marketplace. CRACI je držitelem certifikace ISO/IEC 27001 od Into Certification, podrobnosti najdete v jeho Trust Center.
• Požádejte o reference. Web Safeguard popisuje své zákazníky anonymně, v rámci NDA. Ať zvažujete kteréhokoli dodavatele, včetně CRACI, požádejte o referenční hovor s týmem, jako je ten váš.
• Nechte si cenu potvrdit písemně. Zveřejněné ceny se mění. Ceník Safeguard uvádí, že jeho údaje jsou navržené a čekají na konečné schválení.

Požadavky na SBOM

Několik rámců vyžaduje SBOM a způsob, jak řešit zranitelnosti v ní: americké Executive Order 14028 utváří federální pokyny pro nákup kolem SBOM, oddíl 524B předpisů FDA ji vyžaduje pro kybernetická zařízení a unijní Cyber Resilience Act žádá výrobce, aby dokumentovali své komponenty. CRACI automatizuje významnou část přehledu o dodavatelském řetězci a důkazů, které tyto procesy potřebují: SBOM z doby buildu exportované jako CycloneDX nebo SPDX, sledování zranitelností a provenance přes API. Viz důkazy pro CRA. Žádný z obou nástrojů sám o sobě nezajistí soulad produktu.

Další nástroje v této oblasti najdete v článcích CRACI vs Anchore, CRACI vs Syft a Grype a srovnání nástrojů SBOM.

Odpovědi na otázky o Safeguard

Co je Safeguard?

Safeguard (podle svého webu Safeguard.sh Inc, Dublin, Kalifornie) prodává platformu pro bezpečnost softwarového dodavatelského řetězce. Jeho web popisuje generování SBOM ve formátech CycloneDX a SPDX, provenance SLSA, analýzu dosažitelnosti, pull requesty s opravami psané jeho modely Griffin AI, řízení rizik třetích stran, registr zabezpečených komponent a nasazení v cloudu, on-premise nebo air-gapped.

Jak Safeguard generuje SBOM?

Podle své dokumentace sestavuje Safeguard SBOM z připojených repozitářů, image kontejnerů a nahraných manifestů balíčků a jeho CLI (safeguard scan) spouští ve vaší pipeline Syft a Grype. Jeho srovnání s Anchore uvádí jeho SBOM jako CycloneDX a SPDX „via Syft“. CRACI neskenuje: spouští build a zaznamenává balíčky, které každý job stáhl.

Poskytuje Safeguard runnery pro CI?

Ne. Dokumentace Safeguard k CI ukazuje jeho CLI běžící uvnitř pipeline GitHub Actions, GitLab CI/CD, Jenkins a Azure DevOps, které provozujete vy, a uvádí, že CLI hlásí nálezy, aniž by build selhal; vynucování probíhá v kontrolních branách politik platformy. CRACI je runner: joby GitHub Actions běží na CRACI, které zaznamenává, co každý job stáhl, a řídí, kam se smí připojit.

Kolik Safeguard stojí?

K září 2026 uvádí ceník Safeguard bezplatný plán s 5 pull requesty s opravami, 100 skenovanými komponentami a 100 voláními nástrojů MCP měsíčně; individuální plány za $9, $25, $49 a $99 měsíčně; plány Team za $19, $49 a $99 za uživatele měsíčně, s minimem dvou uživatelů; a Business, Enterprise a Sovereign na základě nabídky. Compliance balíčky stojí $2,099 za rámec ročně. Stránka uvádí, že její údaje jsou navržené a čekají na konečné schválení, proto si aktuální ceny ověřte u Safeguard. CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner s 2 vCPU), účtováno po sekundách.

Může CRACI nahradit Safeguard?

Pro SBOM, provenance a monitorování zranitelností softwaru, který sestavujete na GitHub Actions, ano: CRACI vytváří SBOM přímo z buildu a dál ji monitoruje. CRACI nenahrazuje pull requesty s opravami od AI, analýzu dosažitelnosti, detekci tajných klíčů a chybných konfigurací, registr zabezpečených komponent ani air-gapped nasazení od Safeguard a dnes spouští pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.